Странности с dhcp

[kvadim]

Здравствуйте, форумчане, подскажите пожалуйста, сталкивался кто либо из вас с такой странностью. Суть дела вот в чем. У меня в сети есть, dhcp сервер, который раздает адреса в диапазоне 192.168.0.11-192.168.0.254, и соответственно адрес севера 192.168.0.1. Так вот сегодня секретарь позвонила и сказала, что у нее пропала сеть, и что она не может распечатать документ на сетевом принтере, я пришел, посмотрел и был довольно удивлен тем, что айпи-адрес и днс сервер, были изменены на такой вид:
ip address 192.168.2.ххх
DNS 192.168.2.1
шлюз 192.168.2.1
И до сих пор нахожусь в недоумении, что это может значить. Причем в сетевых настройках ничего конкретного не указано, все стоит так, как и должно быть при раздачи адресов по dhcp.
И еще при отключении dhcp-сервера, адреса все равно раздаются в диапазоне 192.168.2.1-192.168.2.254

[Karl500]

В сети завелся еще один dhcp-сервер?

[kvadim]

В сети завелся еще один dhcp-сервер?

Ну, вот как-то так выходит. На сервере в syslog есть такие надписи

Код: [Выделить]

Sep 12 14:16:21 base dhcpd: DHCPINFORM from 192.168.2.129 via eth1: unknown subnet for client address 192.168.2.129
Sep 12 14:16:59 base dhcpd: DHCPINFORM from 192.168.2.110 via eth1: unknown subnet for client address 192.168.2.110
При пинге одного из адреса пишется вот такое

Код: [Выделить]

ping 192.168.2.129
PING 192.168.2.129 (192.168.2.129) 56(84) bytes of data.
From 10.3.100.182 icmp_seq=1 Time to live exceeded
From 10.3.100.182 icmp_seq=2 Time to live exceeded
From 10.3.100.182 icmp_seq=3 Time to live exceeded
From 10.3.100.182 icmp_seq=4 Time to live exceeded
From 10.3.100.182 icmp_seq=5 Time to live exceeded
^C
--- 192.168.2.129 ping statistics ---
5 packets transmitted, 0 received, +5 errors, 100% packet loss, time 4007ms
И если пинговать адрес 10.3.100.182, то выдает следующее

Код: [Выделить]

ping 10.3.100.182
PING 10.3.100.182 (10.3.100.182) 56(84) bytes of data.
64 bytes from 10.3.100.182: icmp_seq=1 ttl=252 time=3.65 ms
64 bytes from 10.3.100.182: icmp_seq=2 ttl=252 time=3.47 ms
64 bytes from 10.3.100.182: icmp_seq=3 ttl=252 time=3.39 ms
64 bytes from 10.3.100.182: icmp_seq=4 ttl=252 time=3.51 ms
^C
--- 10.3.100.182 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3005ms
rtt min/avg/max/mdev = 3.394/3.509/3.654/0.094 ms


[AnrDaemon]

arping

[kvadim]

arping

Код: [Выделить]

sudo arping 192.168.2.129
arping: Unable to automatically find interface to use. Is it on the local LAN?
arping: Use -i to manually specify interface. Guessing interface eth0.
ARPING 192.168.2.129
60 bytes from 00:30:67:07:a8:73 (192.168.2.129): index=0 time=3.498 msec
60 bytes from 00:30:67:07:a8:73 (192.168.2.129): index=1 time=11.339 msec
60 bytes from 00:30:67:07:a8:73 (192.168.2.129): index=2 time=7.226 msec
60 bytes from 00:30:67:07:a8:73 (192.168.2.129): index=3 time=2.921 msec
60 bytes from 00:30:67:07:a8:73 (192.168.2.129): index=4 time=10.830 msec
60 bytes from 00:30:67:07:a8:73 (192.168.2.129): index=5 time=6.576 msec
60 bytes from 00:30:67:07:a8:73 (192.168.2.129): index=6 time=6.374 msec
60 bytes from 00:30:67:07:a8:73 (192.168.2.129): index=7 time=2.009 msec
60 bytes from 00:30:67:07:a8:73 (192.168.2.129): index=8 time=9.883 msec
60 bytes from 00:30:67:07:a8:73 (192.168.2.129): index=9 time=5.667 msec
60 bytes from 00:30:67:07:a8:73 (192.168.2.129): index=10 time=1.304 msec
^C
--- 192.168.2.129 statistics ---
11 packets transmitted, 11 packets received,   0% unanswered (0 extra)


[AnrDaemon]

Ну вот и ищите по MAC, кто там затесался.

[kvadim]

Ну вот и ищите по MAC, кто там затесался.

А не подскажите, как именно искать? Если можно поточнее?

[AnrDaemon]

Поточнее - делите сеть примерно пополам, смотрите, попал ли в эту половину виновник.
И так далее.

[kvadim]

Поточнее - делите сеть примерно пополам, смотрите, попал ли в эту половину виновник.
И так далее.

Извините, но я не совсем понял, что Вы имеете ввиду. Так что это может быть? Это вирус или что? Потому как по мак адресам машины я нашел, но что это меняет? Ведь этим машинам назначаются какие-то другие айпиадреса, не из моей сети.

[fisher74]

Вам нужно найти левый DHCP-сервер, а не клиентов. С большой вероятностью адрес у него будет 192.168.2.1. Так что ищите этот девайс.

ЗЫ А вот здесь управляемые коммутаторы просто кладезь админа.

[kvadim]

Вам нужно найти левый DHCP-сервер, а не клиентов. С большой вероятностью адрес у него будет 192.168.2.1. Так что ищите этот девайс.

ЗЫ А вот здесь управляемые коммутаторы просто кладезь админа.

Я это понял, что у него адрес 192.168.2.1, по всему зданию на данный момент только один роутер у меня в кабинете, но у него адрес 192.168.1.1, к нему подключен сервер на котором запущен dhcp в диапазоне 192.168.0.11-192.168.0.254, и как-то так получается, что какое-то устройство перебивает адреса в свою сеть.

[Keper3d]

Обычно это выглядит как какой-то умник воткнул в сеть некий роутер для одних ему известных целей. Ищите прежде всего подобное новое устройство.

[AnrDaemon]

Я это понял, что у него адрес 192.168.2.1, по всему зданию на данный момент только один роутер у меня в кабинете, но у него адрес 192.168.1.1, к нему подключен сервер на котором запущен dhcp в диапазоне 192.168.0.11-192.168.0.254, и как-то так получается, что какое-то устройство перебивает адреса в свою сеть.

Надо не опусы писать, а идти и искать нарушителя.
Если ничего не делать, ничего не изменится.

[fisher74]

Код: [Выделить]

sudo arping 192.168.2.1и ищите железяку с таким MAC. Для случая неуправляемых свичей уважаемый AnrDaemon описал действия: рвём сетку пополам, ping 192.168.2.1 и далее принимаем решение по дальнейшему делению сети.

[easy2002]

Я это понял, что у него адрес 192.168.2.1

Зайди на него по http с паролем admin/admin